Les fournisseurs d’IA générative redéfinissent les règles du trafic automatisé – Rapport F5

• Un nouveau rapport de F5 Labs révèle que plus de la moitié des requêtes de pages de contenu web sont désormais automatisées, alors que l’utilisation des robots d’indexation basés sur les LLM s’intensifie.
• Plus d’un tiers des tentatives de connexion dans le secteur technologique sont des attaques par prise de contrôle de compte.
• La santé et l’hôtellerie sont les secteurs les plus ciblés sur le Web, tandis que le divertissement est le plus ciblé sur mobile.

SEATTLE – Selon une nouvelle étude de F5, l’essor de l’IA générative signifie que les bots accèdent désormais davantage que les humains à certains types de contenus web.

F5 Labs’ 2025 Rapport sur les bots persistants avancés analyse 207 milliards de transactions web et API réalisées entre novembre 2023 et septembre 2024. Il étudie les données de clients disposant déjà de défenses contre les bots, afin de montrer comment les opérateurs de trafic automatisé se comportent face aux contre-mesures.

Le rapport révèle que 50,04 % des requêtes de pages de contenu¹ provenaient de sources automatisées, contre 22,3 % des requêtes de recherche sur le Web et 21,5 % des transactions d’ajout au panier. Il met en évidence une forte croissance des robots d’indexation utilisés par les fournisseurs de grands modèles de langage (LLM), tels qu’OpenAI, Anthropic et Perplexity, ainsi que la persistance de ces robots, qui continuent à envoyer des requêtes lorsqu’ils sont bloqués.

Au total, 21,22 milliards des transactions surveillées (10,2 %) provenaient de diverses sources automatisées, dont certaines étaient inoffensives, mais 10 milliards (4,8 %) correspondaient à du trafic généré par des bots malveillants.

« Depuis des années, le trafic de bots cible principalement les parcours de recherche, ainsi que les étapes du parcours utilisateur au cours desquelles une personne s’inscrit ou se connecte pour utiliser un service, ajoute un article à son panier, passe commande ou cherche à modifier son mot de passe », a déclaré David Warburton, directeur de F5 Labs. « La très forte augmentation de l’extraction de contenu, sans aucun doute liée à l’essor de l’IA générative et des grands modèles de langage (LLM), souligne le caractère dynamique du trafic de bots et la nécessité pour les organisations de rester constamment à l’affût de l’évolution des modes d’attaque. »

Les bots relâchent la pression, mais pas pour tout le monde

Les caractéristiques et la prévalence du trafic généré par les bots variaient selon les secteurs. Les secteurs les plus ciblés sur le Web étaient l’hôtellerie-restauration (44,6 % du trafic provenant de bots), la santé (32,6 %) et le commerce électronique (22,7 %).

Sur mobile, le secteur du divertissement (23 %) était de loin le plus ciblé, bien devant l’e-commerce (4,5 %) et la restauration rapide (4,2 %).

Plusieurs secteurs restent fortement touchés par des attaques par bourrage d’identifiants visant à prendre le contrôle des comptes utilisateurs. Sur le Web, plus d’un tiers des tentatives de connexion auprès des entreprises du secteur technologique correspondaient à des tentatives de prise de contrôle de comptes (33,5 %), devant le commerce de détail généraliste (25,7 %) et les jeux vidéo (19,6 %). Sur mobile, ces attaques visaient principalement les entreprises du divertissement (24,7 %) et les acteurs du e-commerce (23,8 %).

Le degré de sophistication des attaques variait également selon les secteurs. La grande majorité du trafic automatisé ciblant le secteur de la santé, tant sur le Web que sur mobile, était classée comme « basique ». D’autres secteurs ont enregistré des niveaux relativement élevés de trafic plus sophistiqué, considéré comme « avancé » — les trois secteurs les plus ciblés sur le Web étant le commerce de détail généraliste, les banques et les compagnies aériennes.

Malgré des niveaux élevés de trafic généré par des bots, la majorité des secteurs suivis ont enregistré une baisse de l’activité automatisée par rapport à 2023, ce qui laisse penser que les dispositifs de contrôle des bots en place produisaient l’effet escompté.

Les secteurs qui faisaient exception étaient l’hôtellerie-restauration sur le Web, en hausse de 18,3 %, et la restauration rapide sur le Web, en progression de 11,2 %. Bien que la part du trafic de bots sur mobile y ait été nettement supérieure à celle de tous les autres secteurs, le secteur du divertissement a tout de même enregistré une baisse de 11,5 % par rapport à 2023.

« Certains secteurs sont depuis toujours la cible de trafic de bots indésirable, a ajouté Warburton. Le secteur de l’hôtellerie enregistre des volumes élevés, car les agrégateurs cherchent à extraire les tarifs et les disponibilités des chambres d’hôtel, tandis que des acteurs malveillants tentent de dérober des points de fidélité. De même, les acteurs du e-commerce sont ciblés par des revendeurs et des bots entraînés à exploiter les informations relatives aux bons d’achat et aux cartes-cadeaux. »

Les données montrent clairement que certains secteurs se sont adaptés au fil du temps : les secteurs fréquemment ciblés, tels que le transport aérien et les services financiers, ont renforcé leurs défenses pour contrer les attaquants les moins sophistiqués. Ils doivent donc désormais faire face à une proportion plus élevée de trafic provenant d’acteurs plus avancés et particulièrement tenaces.

Atténuation : une arme à double tranchant ?

Le rapport a également évalué l’impact des mesures de dissuasion sur le trafic des bots, en comparant l’expérience des clients qui surveillaient le trafic automatisé à celle des clients qui prenaient des mesures pour l’atténuer.

Sur mobile, la tendance était claire et conforme aux attentes. Les organisations qui atténuaient le trafic enregistraient une part nettement plus faible d’activité automatisée dans leur trafic de recherche (0,9 % contre 24,8 % pour celles qui se contentaient de le surveiller). Cette tendance se retrouvait pour la connexion (5 % pour les organisations appliquant des mesures d’atténuation, contre 21,7 % pour celles assurant uniquement une surveillance) et l’inscription (2,4 % contre 21,7 %).

Sur le Web, la situation était différente. Dans la plupart des parcours, le trafic automatisé était plus élevé pour les organisations qui luttaient activement contre les bots. Chez ces clients, le trafic automatisé représentait 20,9 % du trafic de recherche, contre 14,9 % chez ceux qui se contentaient de le surveiller. La tendance était la même pour l’ajout au panier (19,2 % contre 18,2 %), le paiement (8,6 % contre 7,4 %) et la récupération de compte (6,6 % contre 4,6 %).

« En règle générale, nous nous attendrions à ce que les mesures d’atténuation entraînent une baisse du trafic généré par les bots, car les opérateurs bloqués se tournent vers des cibles moins bien protégées », a déclaré Warburton. « Cependant, des modèles économiques entiers reposent désormais sur l’extraction de données, de prix et de propriété intellectuelle : lorsqu’ils rencontrent des obstacles, ces opérateurs ne renoncent pas facilement. Une hausse du trafic peut signifier que ces acteurs redoublent d’efforts et diversifient leurs méthodes, pas nécessairement qu’ils parviennent à leurs fins. Cette étude, comme toute notre expérience chez F5, fait ressortir une tendance constante : les mesures d’atténuation sont efficaces et la dissuasion fait la différence. »

[1] Défini comme les requêtes portant sur des pages qui affichent un produit, un article, un prix ou un service. « Contenu » était l’un des 17 parcours évalués dans le rapport, parmi lesquels figuraient également : « Recherche », « Ajouter au panier », « Devis » (pour les assurances, etc.), « Inscription », « Transaction », « Connexion », « Gestion du compte », « Évaluations » et « Paiement ».

À propos de F5

F5 est une entreprise spécialisée dans la sécurité et la mise à disposition d’applications multicloud, qui s’engage à donner vie à un monde numérique meilleur. F5 collabore avec les organisations les plus grandes et les plus avancées au monde afin de sécuriser chaque application, qu’elle soit sur site, dans le cloud ou en périphérie. F5 permet aux entreprises de garder en permanence une longueur d’avance sur les menaces, tout en offrant à leurs clients des expériences numériques exceptionnelles et sécurisées. Pour plus d’informations, rendez-vous sur f5.com. (NASDAQ : FFIV)

Vous pouvez également suivre @F5 sur X ou nous retrouver sur LinkedIn et Facebook pour en savoir plus sur F5, ses partenaires et ses technologies.

F5 est une marque commerciale, une marque de service ou un nom commercial de F5, Inc., aux États-Unis et dans d’autres pays. Tous les autres noms de produits et de sociétés mentionnés dans le présent document peuvent être des marques commerciales appartenant à leurs propriétaires respectifs.

###

Le présent communiqué de presse peut contenir des déclarations prospectives relatives à des événements futurs ou à des performances financières futures, qui comportent des risques et des incertitudes. Ces déclarations peuvent être identifiées par l’emploi de termes tels que « peut », « pourra », « devrait », « prévoit », « envisage », « anticipe », « estime », « évalue », « prédit », « potentiel » ou « continuer », ainsi que par leur forme négative ou par des termes comparables. Ces déclarations ne constituent que des prévisions, et les résultats réels pourraient différer sensiblement de ceux qui y sont anticipés en raison de plusieurs facteurs, notamment ceux mentionnés dans les documents déposés par la société auprès de la SEC.